CVE-2026-55797
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.11.0 sürümünden itibaren 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümlerine kadar olan Argo CD repo-server, proxy URL ile yapılandırılmış bir SSH Git deposunu klonladığında, test ettiğinde veya getirdiğinde komut enjeksiyonuna karşı savunmasızdır. Proxy ana bilgisayarı ve portu, kabuk meta karakterleri etkisiz hale getirilmeden bir kabuk üzerinden yürütülen bir SSH ProxyCommand içine yerleştirilir. Bir depo veya depo kimlik bilgisi şablonu oluşturabilen veya güncelleyebilen bir kullanıcı, repo-server üzerinde komutlar yürütmek ve bunun Git, Helm ve OCI kimlik bilgilerine erişmek için özel olarak hazırlanmış bir proxy ana bilgisayarı sağlayabilir. Bu sorun 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- github.com/argoproj/argo-cd/v33.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/argoproj/argo-cd/v2Go | 2.11.0 ≤ v ≤ 2.14.21, 2.11.0 ≤ v | — |
| github.com/argoproj/argo-cd/v3Go | 3.0.0 ≤ v < 3.3.15, 3.4.0 ≤ v < 3.4.10, 3.5.0 ≤ v < 3.5.4, 3.6.0-rc1 ≤ v < 3.6.0-rc2 | 3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 |
| github.com/argoproj/argo-cdGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.